RHEL 7：git（RHSA-2017:2004）
high Nessus プラグイン ID 102110
Language:
概要
リモートの Red Hat ホストに 1 つ以上の git 用セキュリティ更新プログラムがありません。説明
リモート Redhat Enterprise Linux 7 ホストに、RHSA-2017:2004 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。Git は、分散型アーキテクチャを使用した分配型リビジョン管理システムです。クライアントサーバーモデルの集約型バージョン管理システムとは対照的に、GitはGitリポジトリの各作業コピーが、完全なリビジョン履歴を持つ正確なコピーであることを保証します。これにより、ユーザーは公式リポジトリに変更をプッシュする権限を持たなくても、プロジェクトに取り組み、貢献でき、さらにネットワーク接続なしでも作業できます。
セキュリティ修正プログラム:
* git に付属の git-prompt.sh スクリプトが、特殊文字を含むブランチ名を正しく処理できなかったことがわかりました。リポジトリを操作するユーザーがリポジトリ情報をプロンプトに含めるようにシェルを設定した場合、特別に細工された git リポジトリはこの欠陥を利用して、任意のコマンドを実行する可能性があります。(CVE-2014-9938)
* git-shell コマンドの制限付きセットのコマンドラインオプションを git-shell が処理する方法に、欠陥が見つかりました。リモートの認証された攻撃者が、この欠陥を使用して git-shell の制限をバイパスし、細工されたコマンドラインオプションを使用して起動した less コマンドのインスタンスを悪用し、ファイルを表示および操作する可能性があります。(CVE-2017-8386)
追加の変更:
このリリースの変更に関する詳細については、「参照」セクションからリンクされている Red Hat Enterprise Linux 7.4リリースノートを参照してください。
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
RHEL git パッケージを、RHSA-2017:2004 のガイダンスに基づいて更新してください。参考資料
http://www.nessus.org/u?372ac0e1
http://www.nessus.org/u?e109ca23
https://access.redhat.com/errata/RHSA-2017:2004
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=1369173
プラグインの詳細
深刻度: High
ID: 102110
ファイル名: redhat-RHSA-2017-2004.nasl
バージョン: 3.13
タイプ: local
エージェント: unix
公開日: 2017/8/2
更新日: 2025/3/20
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
Vendor
Vendor Severity: Moderate
CVSS v2
リスクファクター: Medium
基本値: 6.8
現状値: 5.3
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2014-9938
CVSS v3
リスクファクター: High
基本値: 8.8
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2017-8386
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:git-p4, p-cpe:/a:redhat:enterprise_linux:gitweb, p-cpe:/a:redhat:enterprise_linux:git-email, cpe:/o:redhat:enterprise_linux:7, p-cpe:/a:redhat:enterprise_linux:gitk, p-cpe:/a:redhat:enterprise_linux:git-hg, p-cpe:/a:redhat:enterprise_linux:git-all, p-cpe:/a:redhat:enterprise_linux:git-bzr, p-cpe:/a:redhat:enterprise_linux:git-cvs, p-cpe:/a:redhat:enterprise_linux:git, p-cpe:/a:redhat:enterprise_linux:perl-git, p-cpe:/a:redhat:enterprise_linux:emacs-git-el, p-cpe:/a:redhat:enterprise_linux:perl-git-svn, p-cpe:/a:redhat:enterprise_linux:git-daemon, p-cpe:/a:redhat:enterprise_linux:git-svn, p-cpe:/a:redhat:enterprise_linux:git-gui, p-cpe:/a:redhat:enterprise_linux:emacs-git
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2017/8/1
脆弱性公開日: 2017/3/20
参照情報
CVE: CVE-2014-9938, CVE-2017-8386